Dotaz: PHP 5.4.3-4 - nejde zapnout register_globals

[Dalibor Smolík]

Zdravím, používám PHP a po aktualizaci systému mám PHP5.4.3-4 a nefunguje mi funkce register_globals. Vždy jsem používal tuto funkci na "On" (pouze lokální aplikace), nyní však to nepomáhá a hodnoty z formuláře se předávají jen při úpravě skriptu na $POST_.
Nechce se mi předělávat všechny skripty, je jich ohromné množství. Je nějaká možnst, jak to obejít? Setkal jsem se se souborem .user.ini, kde se to dá nastavit, ale ten nějak nezabírá .. Má někdo nějakou zkušenost?

---

---

Odpovědi

[Alf]

Register_globals bylo v php 5.4 odstraněno.

[Ragzid]

Konecne, ted jenom doufat, ze freehostingy co nejdrive upgraduji, a svet bude opet o neco vic snesitelnejsi a bezpecnejsi...

[Max]

Přesně tak, x verzí se hlásilo, jak je tato fce deprecated a že bude odstraněna ve verzi 5.4, což se také stalo.
Máš několik možností, buď provedeš downgrade php, nebo si rozjedeš na serveru vedle současné verze nějakou poslední 5.3.
A nebo si přepíšeš aplikace, což jsi měl učinit již před cca 4 roky.
Zdar Max

[Dalibor Smolík]

A nebo si přepíšeš aplikace, což jsi měl učinit již před cca 4 roky. Nojo, Maxi. měl, pozdě bycha honit ))
Naštěstí šlo jen o zkušební server. Na tom ostrém mám stále verzi 5.3, takže se mohu pustit do práce.

[chrono]

Ešte stále je tu možnosť, pridať do konfigurácie voľbu, aby sa pred každým skriptom vykonal nejaký iný skript (a v ňom sa tie globálne premenné vytvoria). :)

[Dalibor Smolík]

Království za takový skript! ))

[lertimir]

S princeznou?

[Dalibor Smolík]

Princeznu žádnou nevlastním, bývávalo ))

[Alf]

extract($_REQUEST); ;)

[chrono]

Prípadne ešte aj extract($_COOKIE); (a odkaz na ten php súbor sa dá do auto_prepend_file).

[Dalibor Smolík]

Díky, pohraju si s tím

[DK]

jak ti nekdo hackne server, diky tomuhle, tak si nestezuj :)

[Michal Kubeček]

Ať si klidně stěžuje… Jen musí počítat s tím, že typická reakce bude "Dobře ti tak!" :-)

[Dalibor Smolík]

No, já to vím a pustím se konečně do toho , ale nebude to tak zlé, na začátku skriptu vždycky si předané proměnné upravím
$a = $_POST['a'];
a už to funguje k plné spokojenosti

[Ash]

Tak tobě to takhle funguje, ale pokud nechceš, aby to fungovalo i nějakém samozvanému externímu adminovi, tak abys tam měl taky:

$intarnal_prom = "initial value";
$anotherintarnal_prom = "initial value";

:)

[Kit]

Myslím si, že jen šílenec používá neinicializované proměnné. Při funkcionálním přístupu to vlastně ani jinak nejde, jsou inicializované vždy.

[Ash]

Vycházím z toho, že předtím bylo používáno register_globals, take se jistě nějaká neinicializované proměnná najde.

A pokud nenajde, tak se stejně najde někde v poli s indexem mimo inicializovaný "rozsah" ;)

[Kit]

Inicializace proměnných, které následně naplním konkrétními hodnotami, je blbost. Číst proměnnou, jejíž obsah jsem nedefinoval a není vstupním parametrem, je také blbost. Nevím, co se tady řeší.

[Ash]

Co na to říct. Zkus vzít thread od začátku.

[Dalibor Smolík]

Přílohy:

• typvsechno.php (2644 bytů)
• typvsechno.php.html (23863 bytů)

Mám tu ještě jeden problém. Velmi hojně využívám skript, který umí přidávání do tabulek, úpravu dat i vymazání položek v jednom. Dále jej využívám pro rychlé rozkliknutí např. položek ve faktuře, kde při náhledu faktury vidím např. chybné množství. (Názvy položek jsou ve formě linku) Skript je v příloze. Tento skript v register_globals Off vůbec nefunguje, pokud tam přidám formulku

while (list ($key,$val) = each ($_POST)) {
$$key = $val;
} 

funguje jen přidávání položek, nikoliv úprava nebo vymazání. Nefunguje předání proměnných ve tvaru
http://xx/xxx/typvsechno.php?id=4318
formuláři se nepředá proměnná pro úpravu či vymazání položky. Neměl by někdo tip, jak skript upravit pro register_globals off? Zkoušel jsem všechno možné, kdybych skript měl funkční, vyřešil bych celý problém. V příloze je jak skript, tak jeho výsledná podoba. (Je to jen zjednodušené pro ukázku funkčnosti)

[Michal Kubeček]

Jestli jsem vás dobře pochopil, jde vám o parametry předávané metodou GET. Ty najdete v poli $_GET, ne $_POST. Pokud to nechcete rozlišovat, použijte $_REQUEST.

V každém případě byste ale neměl automaticky nastavovat všechno, co tam najdete. Místo toho ručně přiřaďte jen proměnné odpovídající parametrům, které očekáváte.

A ještě jedna poznámka: přímé vkládání hodnot parametrů do SQL dotazu je velmi nebezpečný zlozvyk. I MySQL extension v PHP už nějakou dobu umí oddělené předávání parametrů (binding).

[Dalibor Smolík]

Díky moc, sedím si na vedení, samozřejmě $_REQUEST, už to funguje ..
Jinak samozřejmě budu skripty postupně upravovat tak, aby to vyhovovalo bezpečnosti, šlo mi o to, abych ze dne na den nepřišel o funkční databázi.

[Kit]

Oddělené předávání parametrů SQL dotazu pokud vím umí jen MySQLi a PDO. Něco mi snad uniklo?

[Michal Kubeček]

Máte pravdu, bylo to mysqli, ne mysql.